Plex ergänzte seinen Sicherheitshinweis am 19. Oktober 2026 um eine Warnung vor weit verbreiteten Angriffen auf nicht aktualisierte, aus dem Internet erreichbare Plex Media Server. Das Unternehmen erklärte, Plex Media Server ab Version 1.43.3.10861 sei von den vier Plex2Shell-Schwachstellen nicht betroffen. The Hacker News meldete am selben Tag Angriffsversuche ab dem 17. Oktober.

Welche Schadsoftware zum Einsatz kam

Plex zufolge wurden kompromittierte Server zum Betrieb von Kryptowährungs-Minern und Proxy-Software missbraucht. Über die Proxys könne fremder Datenverkehr durch den Internetanschluss des betroffenen Servers geleitet werden. The Hacker News nannte den Miner x12345, den XMRig-Prozess mylovelyminer und myawesomeproxy, eine Linux-Hintertür mit Reverse-Proxy-Funktion.

Einzelne Reddit-Nutzer berichteten ebenfalls von mylovelyminer. The Hacker News ordnete diese konkreten Fälle in seinem Bericht vom 19. Oktober jedoch nicht eindeutig Plex2Shell zu. In einer Reddit-Diskussion schilderte ein Nutzer außerdem, wegen wiederholter Wiedergabeprobleme auf Version 1.43.0 zurückgekehrt zu sein. Ein anderer berichtete, aufgeschobene Updates nicht auf neue Sicherheitsmeldungen überwacht zu haben.

Wie die vier Schwachstellen Codeausführung ermöglichen

Plex nennt in seiner aktualisierten Mitteilung vier Schwachstellen, die sich zu einer Angriffskette verbinden:

  • CVE-2026-96652: unauthentifizierte serverseitige Anfragefälschung (SSRF) am Player-Timeline-Endpunkt.
  • CVE-2026-96654: Zugriff auf interne Agent-Funktionen über die Loopback-Schnittstelle.
  • CVE-2026-96655: Offenlegung des Admin-Tokens des Serverbesitzers.
  • CVE-2026-96656: beliebiges Schreiben von Dateien in das Codecs-Verzeichnis über Transcoder-Einstellungen.

Zusammen ermöglichen die Schwachstellen laut Plex einem nicht authentifizierten Angreifer, Code mit den Rechten des Plex-Media-Server-Prozesses auszuführen. In Zach Main’s technischer Demonstration lief der Prozess als uid=1000(plex), also unter dem Plex-Dienstkonto in diesem Beispiel, nicht als root.

Patchstand und Schritte bei einem Verdacht

Plex Media Server 1.43.3.10861 war am 3. August 2026 zunächst für Plex-Pass-Nutzer im Beta-Kanal verfügbar; am 4. August stellte Plex den Build allen Nutzern bereit. Der Release-Eintrag von Plex führt eine Behebung einer möglichen CompanionProxy-Schwachstelle auf. Außerdem lassen sich die Einstellungen TranscoderH264Options und TranscoderH264OptionsOverride seitdem nicht mehr über das Netzwerk ändern.

Für Betreiber eines aus dem Internet erreichbaren Servers mit einer älteren Version rät Plex, von einer möglichen Kompromittierung auszugehen. Als Prüfpunkte nennt das Unternehmen:

  • unbekannte Prozesse, die Plex Media Server gestartet hat, insbesondere myawesomeproxy, mylovelyminer oder x12345;
  • unbekannte .so- oder .dll-Dateien im Ordner Codecs;
  • Verbindungen zu proxystream.st oder anhaltend hohe CPU-Auslastung, obwohl gerade nichts wiedergegeben wird.

Wenn eines dieser Anzeichen auftritt oder sich eine Kompromittierung nicht ausschließen lässt, empfiehlt Plex, den Server aus einer sauberen Installation neu aufzusetzen und das bisherige Plex-Datenverzeichnis nicht weiterzuverwenden. Mindestens sollten Betreiber den Inhalt des Codecs-Verzeichnisses löschen und in Preferences.xml nach Transcoder-Einstellungen suchen, die sie nicht selbst vorgenommen haben. Plex rät außerdem, alle Geräte vom Konto abzumelden und das Plex-Passwort zu ändern. Auch Daten, auf die der Plex-Dienst zugreifen konnte, etwa eingebundene Freigaben oder auf demselben Rechner gespeicherte Zugangsdaten, seien als möglicherweise offengelegt zu behandeln.